Die gefälschten Anzeigen stehlen Seed-Phrasen von Krypto-Wallets, Anmeldedaten und andere sensible Informationen. Darüber hinaus sammelt die Malware gespeicherte Passwörter und Browser-Sitzungen.
Hacker bewerben gefälschte Windows 11 Updates auf Facebook
Laut einem Bericht von Malwarebytes nutzen Hacker professionelles Microsoft-Branding, um das gefälschte Windows 11 Update zu bewerben. Sobald ein Opfer auf die Anzeige klickt, sieht es eine geklonte Microsoft-Website mit einem Domainnamen, der legitime Microsoft-Domains nachahmt.
Die Hacker nutzen Geofencing, eine Technik, die normale Nutzer anspricht, die sich über Heim- oder Büro-Internet verbinden, und IP-Adressen von Rechenzentren vermeidet. Dies dient dazu, automatisierte Scanner daran zu hindern, den Angriff aufzudecken.
Sobald das Opfer das Geofencing passiert hat, erhält es einen bösartigen Installer, der auf GitHub gehostet und von einer sicheren Domain mit Sicherheitszertifikat heruntergeladen wird. Dies lässt den Angriff wie einen echten Microsoft-Download erscheinen.
Der bösartige Installer verfügt über einen Ausweichmechanismus, der nach virtuellen Maschinen und Analysetools scannt und die Ausführung stoppt, um eine Entdeckung zu vermeiden. Auf dem Computer des Opfers hingegen installiert sich die Malware und beginnt, das System zu infizieren.
Die Malware installiert ein echtes Framework in einem Ordner namens LunarApplication. Der Ordnername ähnelt einer Krypto-Tooling-Marke namens Lunar. Dadurch erscheint die Malware für Krypto-Nutzer legitim, in Wirklichkeit zielt sie jedoch auf Krypto-Wallet-Dateien und Seed-Phrasen ab und sendet die Daten an Hacker.
Die bösartigen Facebook-Anzeigenkampagnen laufen bereits seit längerer Zeit und haben dank ausgeklügelter Ausweichtechniken wie Geofencing eine Entdeckung vermieden.
Krypto-Malware verbreitet sich über Social-Media-Anzeigen
Es ist nicht das erste Mal, dass Krypto-Hacker Facebook-Anzeigen nutzen, um Krypto-Wallet-Daten zu stehlen. Im vergangenen Jahr nutzten Hacker das jährliche Pi2Day-Event und starteten bösartige Facebook-Anzeigenkampagnen, die sich gegen Krypto-Nutzer richteten.
Das jährliche Pi2Day-Event wird von der Pi Network-Community am 28. Juni gefeiert. Während der letzten Veranstaltung schalteten Hacker 140 gefälschte Anzeigen mit Pi Network-Branding. Die Opfer wurden auf Phishing-Websites umgeleitet, die kostenlose Pi-Token oder Airdrop-Events bewarben – im Austausch für die Wiederherstellungsphrase des Opfers.
Der Phishing-Angriff richtete sich an Opfer aus verschiedenen Regionen, darunter die USA, Europa, Australien, China und Indien. Die Opfer wurden auch durch andere Methoden angelockt, wie einfaches Pi-Token-Mining auf Smartphones.
Im September des letzten Jahres entdeckten Cybersicherheitsforscher einen weiteren Angriff, der auf Meta-Anzeigen basierte und kostenlosen Zugang zu TradingView Premium bewarb. Forscher von Bitdefender Labs fanden heraus, dass sich der Angriff auch auf Google- und YouTube-Anzeigen ausbreitete.
Die Hacker kaperten ein verifiziertes YouTube-Konto und ein Google-Werbekonto und starteten gefälschte Anzeigen, um die Opfer umzuleiten und ihre Informationen zu phishen. Der Missbrauch von verifizierten YouTube-Konten lockt in der Regel ahnungslose Opfer auf bösartige Websites, die als legitime erscheinen.
Laut Bitdefender wurde eines der gefälschten Videoanzeigen mit dem Titel „Free TradingView Premium – Secret Method They Don’t Want You to Know“ innerhalb weniger Tage mehr als 182.000 Mal angesehen.
Die Videobeschreibung enthält einen Link zur bösartigen ausführbaren Datei. Sie verfügt über eine Ausweichtechnik, durch die der Nutzer eine harmlose Seite sieht, falls die Angreifer ihn nicht als geeignetes Ziel erkennen. Das Video war nicht gelistet, was es unauffindbar macht und eine Meldung bei Google erschwert.
Es gibt keinen öffentlichen Bericht, der die Gesamtsumme der durch gefälschte Anzeigen gestohlenen Kryptowährungen isoliert. Laut Chainalysis-Daten wurden jedoch im Jahr 2025 schätzungsweise 17 Milliarden Dollar durch Krypto-Betrugsmaschen verloren.
Infostealer-Malware betraf Millionen von Geräten und stahl im Jahr 2025 rund 1,8 Milliarden Zugangsdaten, so das Cybersicherheitsunternehmen DeepStrike. „Alles, was mit Geld zu tun hat – Online-Banking, PayPal, Kryptowährungs-Wallets – ist für Cyberkriminelle offensichtlich besonders wertvoll“, heißt es im Bericht.
